Qual app está usando a rede no Mac?

DesempenhoPublicado Atualizado 7 min de leitura

Algo está usando a conexão. O indicador de Wi-Fi fica ocupado enquanto você não está fazendo nada, uma conexão compartilhada queima a franquia numa tarde, ou uma chamada de vídeo piora toda vez que você senta para trabalhar. O macOS consegue responder, mas as ferramentas estão espalhadas e o número mais visível em cada uma é acumulado, não ao vivo, o que manda as pessoas para o processo errado.

A aba Rede do Monitor de Atividade nomeia o processo, mas as colunas contam totais desde que cada processo começou. Para o que está movendo dados agora, use nettop. Para saber com quais hosts remotos um processo fala, use lsof -i.

O Monitor de Atividade nomeia o processo

Abra o Monitor de Atividade e selecione a aba Rede. Todo processo que moveu dados aparece com bytes enviados e recebidos. O guia do Monitor de Atividade da Apple distingue Dados recebidos/enviados acumulados de Dados recebidos/enviados por segundo ao vivo, na base da janela.

Ordenar essas colunas é o que manda as pessoas atrás do processo errado. São totais acumulados desde que cada processo abriu, então um daemon rodando desde a última reinicialização supera o app que está saturando o link neste minuto. Ordenar por "Rcvd Bytes" pode portanto colocar no topo um processo com pouco tráfego atual.

Duas linhas alarmam as pessoas e em geral não deveriam:

  • mDNSResponder trata DNS e a descoberta na rede local para o sistema inteiro. Num Mac ligado há semanas ele pode mostrar gigabytes. É um procurador de todo o resto resolvendo nomes, não um app baixando em segundo plano.
  • kernel_task aparece porque o trabalho de rede atravessa o kernel. Veja kernel_task com CPU alta para a mesma atribuição errada na forma de CPU.

A base da janela tem um gráfico ao vivo de dados entrando e saindo por segundo. Esse gráfico, não as colunas, é o que observar enquanto você muda alguma coisa.

nettop mostra o que está se movendo agora

nettop é a ferramenta que responde à pergunta real. Ela vem com o macOS e não precisa de instalação.

nettop -P -L 2 -d -J bytes_in,bytes_out

,bytes_in,bytes_out,
syslogd.362,0,22701,
apsd.368,685304,414375,
mDNSResponder.480,4189609493,104188210,

-P agrega por processo, não por conexão, -L 2 imprime duas amostras CSV, -d faz as amostras seguintes serem deltas, e -J escolhe as colunas. A primeira amostra é a linha de base. A seguinte mostra o que se moveu no intervalo. Rode nettop -P -d de forma interativa quando quiser a mesma visão atualizando até você sair.

lsof -i mostra para onde está conectando

Quando você tem um nome, a pergunta seguinte em geral é para onde ele está enviando dados.

lsof -nP -iTCP -sTCP:ESTABLISHED

-n pula o DNS reverso e -P pula a busca do nome da porta, o que torna a saída rápida e literal. -iTCP limita o resultado a TCP, enquanto -sTCP:ESTABLISHED remove soquetes em escuta e fechados. Você obtém o processo, a porta local e o endereço remoto visíveis para o seu usuário. Use elevação só quando um processo do sistema for a parte que falta na investigação.

Resolver esses endereços é onde a honestidade importa: um IP que pertence a um grande provedor de nuvem diz quase nada, porque a maior parte da internet está hospedada lá. Trate isso como uma pista, não como uma identificação.

O Monitor de Atividade identifica totais acumulados por processo, o nettop mede deltas ao vivo por processo, e o lsof mapeia o processo escolhido até os destinos remotos ativos.
Use três visões em sequência: ache a família do processo, confirme o tráfego atual e inspecione os destinos ativos.

As respostas habituais

Antes de supor que algo está errado, confira o que deve usar a rede sem ser pedido.

Causa Como reconhecer Onde controlar
Sincronização do Fotos no iCloud Envio contínuo depois de importar fotos Fotos › Ajustes › iCloud
iCloud Drive Atividade depois de mudanças grandes em arquivos Ajustes do Sistema › Conta Apple › iCloud
Atualizações do macOS ou da App Store softwareupdated, appstoreagent Ajustes do Sistema › Geral › Atualização de Software
Clientes de sincronização de terceiros Auxiliares do Dropbox, Google Drive, OneDrive As preferências do próprio app
Software de backup Envio longo e estável num horário O app de backup
Uma aba do navegador Vídeo, um envio travado, uma página em reprodução automática Gerenciador de Tarefas do Chrome, janela Atividade do Safari

A Atualização de Software merece menção especial porque baixa em segundo plano por padrão, e um instalador completo do macOS tem vários gigabytes. Numa conexão limitada essa única opção muitas vezes é o problema inteiro.

O que o macOS não vai contar

Três limites, porque vários artigos populares os pulam:

  • Não há histórico nativo de banda por app. O Monitor de Atividade e o nettop informam desde o início do processo ou desde o momento em que você começou a observar. Nada no macOS guarda um registro por app que você possa consultar depois.
  • Totais por processo não são totais por app. Um navegador espalha o tráfego por processos de renderização, e um daemon auxiliar pode carregar tráfego de vários apps ao mesmo tempo.
  • Tráfego por uma VPN ou uma extensão do sistema pode ser atribuído à extensão e não ao app que o gerou.

Uma ferramenta que promete um histórico completo por app ou está instalando um filtro de rede próprio ou está estimando, e você quer saber qual dos dois antes de confiar no número.

Uma verificação que se repete

  1. Observe o gráfico ao vivo na base da aba Rede do Monitor de Atividade, não as colunas.
  2. Rode nettop -P -L 2 -d -J bytes_in,bytes_out e leia a segunda amostra.
  3. Para o processo que cresceu, rode lsof -nP -iTCP -sTCP:ESTABLISHED para ver onde ele está conectado.
  4. Pause o app ou o serviço de sincronização suspeito e confirme que o gráfico cai.
  5. Se nada cair, continue investigando outros apps e serviços, inclusive Atualização de Software e iCloud.

O passo quatro é o que as pessoas pulam, e é o que separa uma identificação de um chute.

Onde um monitor entra

O Mole mantém a vazão de rede ao vivo na barra de menus, ao lado de CPU, memória e estado térmico, então uma conexão ocupada fica visível quando acontece, em vez de ser reconstruída depois. Ele informa a vazão que consegue medir e não instala um filtro de rede para alegar um histórico por app que o macOS não fornece.

Perguntas frequentes

Por que o mDNSResponder usa tantos dados?

Ele resolve nomes e trata a descoberta na rede local para o sistema inteiro, então o tráfego de muitos outros processos é contado contra ele. Ele não está baixando nada próprio.

Dá para ver quantos dados um app usou ontem?

Não pelo macOS. Não há histórico nativo por app. Ferramentas de terceiros que oferecem isso instalam uma extensão de rede para observar o tráfego elas mesmas.

Como acho o que está usando dados num ponto de acesso?

Ligue o Modo de Dados Limitados para essa rede em Ajustes do Sistema › Wi-Fi › Detalhes, o que para vários serviços em segundo plano, inclusive downloads automáticos de atualização, e use o diff do nettop acima para o que restar.

Atividade de rede alta é sinal de malware?

Raramente é o primeiro sinal, e as explicações habituais acima cobrem quase todo caso. Percorra-as antes de tratar tráfego constante em segundo plano como suspeito.